데일리 TOP10
10위
AI가 찾아낸 PHP 치명적 결함에 글로벌 비상…서버 장악 위기
뉴스보이
2026.10.23. 09:28
뉴스보이
2026.10.23. 09:28
정부 늑장 대응 비판 속 국내 구버전 서버 침해 우려와 범부처 종합대책 검토
1
AI가 웹 개발 언어 PHP에서 서버 원격 장악이 가능한 보안 취약점 'PHP2Shell'을 찾아냄.
2
정부는 22일 사이버위기 경보를 '주의'로 올렸으나 해외보다 13시간 늦어 늑장 비판을 받음.
3
보안업계 조사 결과 국내에서 취약점에 노출된 추정 서버는 약 11만건으로 세계 6위 수준임.
4
더욱이 국내 서버의 82%가 공식 지원이 끝난 구버전이어서 중소기업 침해 우려가 커짐.
5
이에 과기정통부는 컨트롤타워 정비를 포함한 범부처 차원의 종합대책 마련을 검토하기로 함.
PHP 보안 결함이 국내 웹 생태계와 정책에 던진 과제
PHP2Shell 결함은 왜 치명적인가
국내 구버전 서버가 취약한 이유
정부의 늑장 대응과 권고 행정의 한계
사이버 보안 컨트롤타워 개편의 향후 과제
PHP2Shell 결함은 왜 치명적인가
•
외부 공격자가 별도의 로그인 없이 서버 전체를 장악할 수 있는 고위험 원격 코드 실행 결함입니다. 이번 취약점은 공식 식별 번호인 CVE 2026 109618과 CVE 2026 109619 두 건을 묶어 피에이치피투쉘(PHP2Shell)로 불립니다.
•
미국 보안기업 캘리프가 최신 인공지능 모델을 활용해 결함을 찾아냈고 불과 2주 만에 실제 작동하는 공격 코드까지 입증했습니다. 취약점이 공개된 직후 공격 시도가 급증함에 따라 시스템을 보호하려면 피에이치피 8.2.35나 8.3.36 등 최신 보안 버전으로 즉시 업데이트해야 합니다.
국내 구버전 서버가 취약한 이유
•
국내 웹 서버의 대다수가 공식 지원이 중단된 구버전 소프트웨어를 사용하고 있어 즉각적인 패치가 어렵기 때문입니다. 국내 보안업체 안랩의 조사 결과 이번 취약점에 노출된 것으로 추정되는 국내 서버는 약 11만 건으로 세계 6위 규모에 달합니다.
•
프랑스 보안업체 시벨앙젤의 분석에서도 버전이 확인된 국내 서버의 82퍼센트인 2만 4591대가 공식 지원이 종료된 8.1 이하 구버전으로 파악되었습니다. 이 구버전 서버들은 최신 보안 수정 파일을 직접 적용할 수 없는 구조적 한계를 안고 있습니다.
•
외주로 제작된 중소기업 홈페이지는 핵심 엔진을 최신 버전으로 바꾸면 결제 창이나 게시판의 호환성이 깨져 사이트가 멈출 수 있습니다. 이 때문에 영세 기업들은 서비스 장애를 우려해 위험을 알고도 업데이트를 제때 진행하지 못하고 있습니다.
정부의 늑장 대응과 권고 행정의 한계
•
해외 보안 패치가 배포된 뒤 반나절이 넘게 지나서야 경보를 발령하면서 초기 대응이 지연되었다는 비판을 받았습니다. 과학기술정보통신부와 한국인터넷진흥원은 해외 패치 공개 13시간 만인 22일 낮 12시에야 민간 사이버위기 경보를 주의 단계로 상향했습니다.
•
미국 보안 당국이 연방 행정 시스템에 비상 지침을 내려 위험 장비의 오프라인 격리를 강제한 것과 달리 한국 정부는 강제 조치 권한이 없었습니다. 국내 사이버위기 경보 주의 단계는 민간 기업에 공문을 보내 수동 점검을 안내하는 행정지도 권고에 머물렀습니다.
•
국내 핵심 공공 행정망은 표준 개발 기준에 따라 다른 소프트웨어를 주로 사용하여 직접적인 노출 위험은 낮습니다. 그러나 지자체 산하기관의 홍보 사이트 등 비핵심 자산의 패치 현황은 전수 파악되지 않아 잠재적 사각지대로 지적되었습니다.
사이버 보안 컨트롤타워 개편의 향후 과제
•
정부는 이번 사태로 드러난 한계를 보완하기 위해 범부처 차원의 사이버 보안 종합대책 마련과 조직 정비에 착수했습니다. 배경훈 과학기술정보통신부 장관은 국회 종합감사에서 국가안보실 중심 대응 체계를 보완하는 범부처 대책을 마련하겠다고 약속했습니다.
•
현행 정보통신망법상 전문 공공기관이라도 민간 기업의 사전 동의 없이 원격으로 취약점을 강제 조사할 권한은 없습니다. 이에 따라 통합 위기 대응을 위한 컨트롤타워 입법 논의가 추진되겠지만 민간 영역에 대한 개입 범위와 부처 간 관할권 조율이 핵심 과제로 꼽힙니다.
PHP2Shell 결함은 왜 치명적인가
•
외부 공격자가 별도의 로그인 없이 서버 전체를 장악할 수 있는 고위험 원격 코드 실행 결함입니다. 이번 취약점은 공식 식별 번호인 CVE 2026 109618과 CVE 2026 109619 두 건을 묶어 피에이치피투쉘(PHP2Shell)로 불립니다.
•
미국 보안기업 캘리프가 최신 인공지능 모델을 활용해 결함을 찾아냈고 불과 2주 만에 실제 작동하는 공격 코드까지 입증했습니다. 취약점이 공개된 직후 공격 시도가 급증함에 따라 시스템을 보호하려면 피에이치피 8.2.35나 8.3.36 등 최신 보안 버전으로 즉시 업데이트해야 합니다.
국내 구버전 서버가 취약한 이유
•
국내 웹 서버의 대다수가 공식 지원이 중단된 구버전 소프트웨어를 사용하고 있어 즉각적인 패치가 어렵기 때문입니다. 국내 보안업체 안랩의 조사 결과 이번 취약점에 노출된 것으로 추정되는 국내 서버는 약 11만 건으로 세계 6위 규모에 달합니다.
•
프랑스 보안업체 시벨앙젤의 분석에서도 버전이 확인된 국내 서버의 82퍼센트인 2만 4591대가 공식 지원이 종료된 8.1 이하 구버전으로 파악되었습니다. 이 구버전 서버들은 최신 보안 수정 파일을 직접 적용할 수 없는 구조적 한계를 안고 있습니다.
•
외주로 제작된 중소기업 홈페이지는 핵심 엔진을 최신 버전으로 바꾸면 결제 창이나 게시판의 호환성이 깨져 사이트가 멈출 수 있습니다. 이 때문에 영세 기업들은 서비스 장애를 우려해 위험을 알고도 업데이트를 제때 진행하지 못하고 있습니다.
정부의 늑장 대응과 권고 행정의 한계
•
해외 보안 패치가 배포된 뒤 반나절이 넘게 지나서야 경보를 발령하면서 초기 대응이 지연되었다는 비판을 받았습니다. 과학기술정보통신부와 한국인터넷진흥원은 해외 패치 공개 13시간 만인 22일 낮 12시에야 민간 사이버위기 경보를 주의 단계로 상향했습니다.
•
미국 보안 당국이 연방 행정 시스템에 비상 지침을 내려 위험 장비의 오프라인 격리를 강제한 것과 달리 한국 정부는 강제 조치 권한이 없었습니다. 국내 사이버위기 경보 주의 단계는 민간 기업에 공문을 보내 수동 점검을 안내하는 행정지도 권고에 머물렀습니다.
•
국내 핵심 공공 행정망은 표준 개발 기준에 따라 다른 소프트웨어를 주로 사용하여 직접적인 노출 위험은 낮습니다. 그러나 지자체 산하기관의 홍보 사이트 등 비핵심 자산의 패치 현황은 전수 파악되지 않아 잠재적 사각지대로 지적되었습니다.
사이버 보안 컨트롤타워 개편의 향후 과제
•
정부는 이번 사태로 드러난 한계를 보완하기 위해 범부처 차원의 사이버 보안 종합대책 마련과 조직 정비에 착수했습니다. 배경훈 과학기술정보통신부 장관은 국회 종합감사에서 국가안보실 중심 대응 체계를 보완하는 범부처 대책을 마련하겠다고 약속했습니다.
•
현행 정보통신망법상 전문 공공기관이라도 민간 기업의 사전 동의 없이 원격으로 취약점을 강제 조사할 권한은 없습니다. 이에 따라 통합 위기 대응을 위한 컨트롤타워 입법 논의가 추진되겠지만 민간 영역에 대한 개입 범위와 부처 간 관할권 조율이 핵심 과제로 꼽힙니다.
#PHP
#과학기술정보통신부
#PHP2Shell
#인공지능
#사이버위기 경보
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
